Huawei: proteger la red con DHCP Snooping

DHCP Snooping evita que un servidor DHCP no autorizado (un router hogareño conectado por error, o un atacante) reparta direcciones en la red. Solo se aceptan respuestas DHCP por los puertos marcados como trusted.

Escenario: una VLAN con dos puertos de acceso (GE0/0/2 y GE0/0/3) y un puerto troncal (GE0/0/1) hacia donde está el servidor DHCP legítimo.

1. Habilitarlo globalmente

[OPTIMA] dhcp enable
[OPTIMA] dhcp snooping enable ipv4

2. Habilitarlo en los puertos de acceso

[OPTIMA] interface gigabitethernet 0/0/2
[OPTIMA-GigabitEthernet0/0/2] dhcp snooping enable
[OPTIMA-GigabitEthernet0/0/2] quit
[OPTIMA] interface gigabitethernet 0/0/3
[OPTIMA-GigabitEthernet0/0/3] dhcp snooping enable
[OPTIMA-GigabitEthernet0/0/3] quit

3. Marcar el puerto del servidor como confiable

[OPTIMA] interface gigabitethernet 0/0/1
[OPTIMA-GigabitEthernet0/0/1] dhcp snooping trusted
[OPTIMA-GigabitEthernet0/0/1] quit

4. Limitar la tasa de mensajes DHCP

Limita los mensajes DHCP que llegan a la CPU (en este caso, 90 por segundo) y genera una alarma ante un posible DHCP flood:

[OPTIMA] dhcp snooping check dhcp-rate enable
[OPTIMA] dhcp snooping check dhcp-rate 90
[OPTIMA] dhcp snooping alarm dhcp-rate enable
[OPTIMA] dhcp snooping alarm dhcp-rate threshold 500

5. Limitar usuarios y validar la MAC por puerto

Se limita la cantidad de clientes por puerto y se verifica que la MAC del paquete coincida con el campo CHADDR del mensaje DHCP:

[OPTIMA] interface gigabitethernet 0/0/2
[OPTIMA-GigabitEthernet0/0/2] dhcp snooping max-user-number 2
[OPTIMA-GigabitEthernet0/0/2] dhcp snooping check dhcp-chaddr enable
[OPTIMA-GigabitEthernet0/0/2] dhcp snooping alarm dhcp-chaddr enable
[OPTIMA-GigabitEthernet0/0/2] dhcp snooping alarm dhcp-chaddr threshold 120
[OPTIMA-GigabitEthernet0/0/2] quit

---